Cómo migrar de AD local a Azure paso a paso

Migrar desde su servidor AD local a dispositivos unidos a Azure AD es un escenario común para cualquier empresa que ya no necesita un acceso rápido y de baja latencia a datos y ya ha invertido en Microsoft 365.

Esto podría significar que se accede a todas las líneas de aplicaciones comerciales de la empresa a través de la web y que la información se guarda y se colabora a través de plataformas como Microsoft Teams y SharePoint.

En esta publicación, le mostraré cómo puede migrar AD local a Azure paso a paso.

Aquí, vamos a discutir un escenario hipotético de una empresa que quiere hacer esta transición y pasar por el proceso. Luego detallaremos los pasos de planificación de principio a fin que permitirán el paso a una solución moderna basada en el trabajo.

Escenario de migración de AD

OurCloudNetwork tiene un único controlador de dominio local que también aloja el principal archivo compartido corporativo de la empresa. Todas las estaciones de trabajo de la empresa están unidas a Active Directory y ya utilizan Exchange Online de la suite Microsoft 365 para el correo electrónico.

Se ha identificado que su última aplicación de contabilidad local se puede trasladar a la nube y modernizar el acceso para utilizar una experiencia de navegador web e iniciar sesión mediante un inicio de sesión único con Azure Active Directory. Como tal, ya no existe ningún requisito para una arquitectura cliente/servidor.

Algunos otros hechos también son ciertos en este escenario:

• El único servidor de Windows ejecuta Windows Server 2012 R2
• Algunos clientes ejecutan versiones iniciales de Windows 10 y algunas de Windows 11
• Hay requisitos mínimos de impresión y no hay impresora compartida; algunos usuarios tienen sus propias impresoras USB de escritorio
• Algunas políticas de grupo personalizadas se utilizan para administrar aplicaciones de utilidades de clientes locales.
• Los archivos guardados en los escritorios de los usuarios de los que no se realiza una copia de seguridad son una preocupación
• A OurCloudNetwork le gustaría colaborar en proyectos con empresas externas

El objetivo final requerido

Teniendo en cuenta el entorno y los requisitos actuales, se ha propuesto el siguiente objetivo final para modernizar la infraestructura de OurCloudNetwork.

Servidor local

El servidor local se retirará y las identidades de Active Directory se sincronizarán con Azure Active Directory mediante la herramienta de sincronización Azure AD Connect.

Cualquier política de grupo implementada se exportará desde el servidor y se migrará a Microsoft Intune.

Los recursos compartidos de archivos existentes se migrarán a SharePoint y Microsoft Teams con permisos respaldados por grupos de Microsoft 365.

Exchange Online seguirá utilizándose como parte de la suite Microsoft 365.

Las licencias de usuario en Microsoft 365 se actualizarán a Microsoft 365 E3 para adaptarse a los cambios requeridos.

Estaciones de trabajo del cliente

Todas las estaciones de trabajo cliente se eliminarán del dominio y se unirán a Azure Active Directory con Intune para la administración de dispositivos.

Intune también aplicará políticas en todas las máquinas y se ocupará de la gestión de actualizaciones para el sistema operativo Windows.

Seguridad

Dado que el cumplimiento se ha identificado como una preocupación, se deben implementar políticas de cumplimiento de dispositivos respaldadas por políticas de acceso condicional para hacer cumplir el control.

Se implementará una autenticación multifactor fuerte (no SMS ni llamadas telefónicas) para todos los usuarios, con la excepción de una cuenta de emergencia cuyo uso debe ser monitoreado.

El plan de migración de AD local a Azure

Paso 1

Debe comenzar asegurándose de que todos sus usuarios tengan la licencia adecuada para la solución que está implementando. En nuestro escenario, hemos seleccionado el plan Microsoft 365 E3, Enterprise. Esta licencia nos proporciona todos los servicios en la nube, herramientas de seguridad y herramientas de gestión que necesitamos para crear una solución eficaz y segura. Se pueden ver otros planes empresariales aquí: https://www.microsoft.com/en-gb/microsoft-365/compare-microsoft-365-enterprise-plans. También tiene la opción de optar por una licencia M365 Business Premium si su organización tiene menos de 300 usuarios y no requiere funciones mejoradas como Exchange Online Plan 2, licencia híbrida, DLP adicional y soporte.

Debe analizar la diferencia entre cada tipo de licencia disponible y tomar una decisión basada en los requisitos comerciales, como; requisitos del servidor híbrido, seguridad, cumplimiento y datos. soporte y administración de endpoints de Microsoft.

Paso 2

Es probable (incluso si no está de acuerdo con esta afirmación) que sus usuarios tengan datos guardados en sus estaciones de trabajo que no están dentro del alcance de la copia de seguridad de su organización o no están guardados en la nube. En cualquier caso, este paso debería implicar que usted desinfecte los datos de su empresa y se asegure de que los datos críticos de su usuario (en los que a menudo están trabajando actualmente) se guarden en su OneDrive (como mínimo).

En primer lugar, debe asegurarse de que el cliente OneDrive más reciente esté instalado en las estaciones de trabajo de su cliente. OneDrive se puede descargar aquí y debe seguir el asistente de instalación para realizar una "copia de seguridad" de los datos importantes. Digo hacer una copia de seguridad porque tradicionalmente no se hace una copia de seguridad de sus datos en esta etapa, sino que simplemente se redirige a su almacenamiento personal en la nube (OneDrive). También se debe utilizar una solución de copia de seguridad de terceros junto con Microsoft 365, pero esto lo cubriremos al final.

También debe analizar todos los datos que tenga en los servidores de archivos locales y prepararlos para moverlos a Teams y SharePoint. Antes de tomar la decisión de pasar a una solución de trabajo moderna para sus datos, se debería haber realizado un estudio de viabilidad que determinara que SharePoint y Teams eran la solución correcta. A menudo encontrará que una solución híbrida siempre funciona mejor, donde los archivos grandes que necesitan acceso de baja latencia se guardan en áreas de almacenamiento del servidor local y los documentos de proyectos colaborativos funcionan bien en Teams.

A menudo, este puede ser el paso del proyecto que requiere más tiempo, pero a menudo es un proceso que no nos gusta. Así que asegúrese de tomarse su tiempo en esta etapa y trabajar con las partes interesadas clave y los propietarios de datos para decidir el mejor plan y área para almacenar dichos datos.

Paso 3

Una vez que haya evaluado y desinfectado sus datos, debe evaluar el uso de Microsoft Teams. Microsoft Teams es una gran herramienta para el trabajo orientado a proyectos, ya que permite a los usuarios trabajar juntos en archivos, llamadas y reuniones con comunicación en tiempo real.

Microsoft Teams está respaldado principalmente por grupos de Microsoft 365. Cuando crea un equipo, también se crean muchos otros servicios, como un grupo de Microsoft 365, un sitio de equipo de SharePoint Online, un buzón de correo de grupo de Exchange y una colección en OneNote.

También es bueno comprender de manera lógica cómo se arquitectura Microsoft Teams con otros servicios de Microsoft 365:

• Sus archivos personales dentro de Teams se guardan en su espacio personal de OneDrive.
• Los archivos compartidos dentro de Teams se guardan en los sitios de SharePoint Online. Esto también significa que puede acceder a los archivos sin tener que pasar directamente por Teams.
• Los mensajes en los canales de Teams se guardan en el buzón de correo de Exchange del grupo.
• Los mensajes de chat 1 a 1 se guardan en el buzón de correo del usuario individual.
• La información del calendario se guarda en el buzón de correo del usuario individual.

Paso 4

Ahora que ha planificado su estrategia de datos usando SharePoint Online y Teams, debe implementar Azure AD Connect en un servidor miembro o controlador de dominio para sincronizar sus contraseñas de usuario entre su inicio de sesión de Windows y Microsoft 365.

Habilitar la sincronización de contraseñas con Azure AD Connect simplificará la experiencia del usuario para que ya no necesite recordar varias contraseñas, especialmente porque ahora introducirá servicios como OneDrive y Teams que le solicitarán iniciar sesión nuevamente. Comúnmente encontrará que si una organización no utiliza Azure AD Connect, los usuarios rara vez recordarán su contraseña de Microsoft 365, lo que simplemente resulta en una carga administrativa para su equipo de TI.

Para obtener orientación sobre la instalación de Azure AD Connect, consulte mi publicación: Cómo instalar y administrar Azure AD Connect.

Paso 5

Migrar sus datos a SharePoint Online y Microsoft Teams debería ser su próximo paso. Dispones de 2 fantásticas herramientas gratuitas proporcionadas por Microsoft para conseguirlo:

• Herramienta de migración de SharePoint (SPMT)
• Administrador de migración de SharePoint

Utilice este útil documento de aprendizaje de Microsoft Learn sobre detalles específicos sobre la migración de sus archivos compartidos a SharePoint/Teams.

Una vez que se hayan migrado sus datos, debe apagar su servidor de archivos por un período de tiempo (o simplemente puede desconectar la red) para asegurarse de que no quede nada atrás.

Paso 6

En este punto, debería estar en una etapa en la que tenga identidades de usuario coherentes entre su directorio activo local y Azure AD. También deberías tener todos tus datos en SharePoint y Microsoft Teams.

Como todos sus sistemas críticos ahora están en la nube, necesitamos preparar a su inquilino de Microsoft 365/Azure para la solución propuesta de administrar los dispositivos a través de Microsoft Intune y usar Auto Pilot.

Debe asegurarse de hacer lo siguiente:

1. Habilite la inscripción automática para Microsoft Intune. Esto garantizará que cuando los dispositivos se unan a AzureAD, ya sea manualmente o mediante OOBE, también se inscriban en la administración de dispositivos.
2. Agregar dispositivos al servicio Windows Autopilot

Paso 7

Desafortunadamente, simplemente habilitar los servicios de administración no es suficiente para utilizar de manera efectiva la administración de dispositivos de Intune. Hay algunas otras configuraciones que debe configurar antes de comenzar las pruebas.

Perfiles de configuración: son paquetes de configuración que usted aplica a sus dispositivos según la identidad del usuario o del dispositivo. Por ejemplo, si desea configurar Windows Defender para que esté habilitado en todos los dispositivos, configuraría un perfil de configuración, con esa configuración habilitada y lo asignaría a todos los dispositivos dinámicamente.

Políticas de cumplimiento: determinan si un dispositivo cumple con el estándar definido en Intune. Por ejemplo, si requiere que sus dispositivos Windows usen BitLocker y lo tengan habilitado, puede especificar esto en su política de cumplimiento y luego su dispositivo se marcará como compatible o no compatible. Las políticas de cumplimiento pueden funcionar de la mano con las políticas de acceso condicional para bloquear el acceso a los servicios si un dispositivo está marcado como no conforme.

Anillos de actualización: un anillo de actualización define cómo se implementan las actualizaciones de Windows (y las aplicaciones y controladores asociados) en sus estaciones de trabajo. Puede configurar períodos de aplazamiento de actualizaciones de funciones y calidad, actualización o aplazamiento de Windows 11, períodos de desinstalación de actualizaciones de funciones, implementaciones previas al lanzamiento, horas de actualización activa, comportamiento de actualización automática y mucho más. Este es un paso fundamental para garantizar que las actualizaciones se implementen a tiempo y mejorar la experiencia de actualización del usuario.

Tómese un tiempo para revisar el centro de administración de Intune y revisar cualquier configuración que pueda generar valor para su organización.

Paso 8

Como nuestro plan es realizar un reinicio completo de cada dispositivo Windows, será necesario reinstalar cualquier aplicación de terceros (como navegadores web o aplicaciones de utilidad). Afortunadamente, Intune le permite implementar aplicaciones desde el portal de administración de forma remota en su dispositivo.

Hay muchos tipos de aplicaciones que puede implementar en su dispositivo; los tipos de aplicaciones más utilizados incluyen:

• .MSI
• IntuneWin
• Office C2R (haga clic para ejecutar)
• APX
• Tienda para aplicaciones empresariales

Paso 9

Ahora estás en la fase de prueba. Debe identificar un dispositivo y una cuenta de usuario que puedan interrumpirse y realizar una prueba piloto para restablecer el dispositivo a través de Configuración > Actualización y seguridad > Recuperación > Restablecer esta PC.

El dispositivo debería reiniciarse y llevarlo a la primera experiencia de inicio (lista para usar). Cuando inicia sesión con su cuenta corporativa, el dispositivo debe registrarse con los servicios AutoPilot e Intune, esto debe ser evidente según las configuraciones que configuró en cada servicio y la experiencia que está teniendo en el dispositivo.

Mientras realizas cada paso debes registrar el proceso, ya sea a través de imágenes o una grabación de video. Cualquier paso que requiera la participación del usuario debe documentarse cuidadosamente, especialmente si el usuario final realizará dicho paso.

Una vez que el dispositivo haya iniciado sesión, verifique que todas las aplicaciones requeridas y los perfiles de configuración se hayan implementado con precisión y modifique cualquier configuración si es necesario. Si está satisfecho con el proceso, puede continuar con la implementación completa.

Paso 10

Una vez que se completen las pruebas, estará listo para realizar la migración completa para las estaciones de trabajo restantes. Dependiendo de cuántos dispositivos tengas y de cuántas ubicaciones diferentes se encuentren, puedes abordar esto de muchas maneras diferentes.

Probablemente, si tiene alrededor de 30 dispositivos en una sola ubicación, podría restablecer fácilmente manualmente grupos de dispositivos a la vez y abordar este trabajo durante unos días o una semana. Sin embargo, si tiene cientos de dispositivos, debe incluir la prueba de algunas técnicas de automatización y tal vez delegar a alguien en cada ubicación para que lo ayude con el proceso. Por ejemplo, puede inscribir sus dispositivos en Intune/Autopilot a través de una política de grupo y unión a un dominio híbrido y luego restablecer el dispositivo a través del portal de administración. O podría utilizar una herramienta RMM para restablecer el dispositivo. Su enfoque dependerá del tamaño y la complejidad de su entorno de Windows.

Paso 10

A menudo, este puede ser un paso que se pasa por alto, especialmente si diferentes ubicaciones cumplen con diferentes cumplimientos y agrega complejidad adicional a su proyecto, que ya es grande. Sin embargo, implementar el acceso condicional es un paso fundamental para modernizar su infraestructura.

Debe evaluar qué aplicaciones y usuarios desea que requieran ciertos controles, como requerir autenticación multifactor, límites de sesión o incluso controles de bloqueo.

En un mundo perfecto, debería capturar todos sus activos en simplemente 1 o 2 políticas de cumplimiento dirigidas a todos los usuarios para MFA y a todos los dispositivos para el cumplimiento.

Siga mi tutorial sobre Cómo crear una política de acceso condicional.

Paso 11

Por último, después de un período de tiempo definido, generalmente entre 2 semanas y un mes. Debes desmantelar la infraestructura de tu servidor si es necesario. En algunos casos, es posible que deba mantener algunos servidores Windows; sin embargo, si ya no existe ese requisito, debe asegurarse de que permanezcan apagados durante el período de tiempo anterior y luego fuera de servicio.